Directive NIS2, l’impact sur les PME et les mesures en 2026

La cybersécurité n’est plus une option réservée aux grands groupes. Avec la directive NIS2 et son impact sur les PME, l’Union européenne élargit fortement le nombre d’organisations soumises à des règles de sécurité numérique, et de nombreux dirigeants se demandent si leur entreprise est visée.

Comprendre le sujet directive NIS2, impact PME, c’est d’abord savoir si vous êtes concerné directement, indirectement via vos clients, ou pas du tout. Cet article fait le point en 2026 sur les critères d’éligibilité, les obligations concrètes, la notification des incidents et les étapes pour vous mettre en conformité sans vous disperser.

Temps de lecture : 9 minutes

Directive NIS2, l’impact sur les PME et les mesures en 2026

1. Ce que change la directive NIS2 (UE 2022/2555)
2. Directive NIS2, l’impact sur les PME selon leur taille et leur secteur
3. Vérifier votre situation avec MonEspaceNIS2 et l’enregistrement auprès de l’ANSSI
4. Les obligations NIS2 pour les PME : ce que prévoient les articles 20 et 21
5. Notification incident NIS2 en 24h, 72h et un mois
6. NIS2, sous-traitants et fournisseurs : un impact indirect bien réel
7. NIS2 dans le secteur informatique et télécoms, cloud et centres de données
8. Combien coûte la mise en conformité NIS2 pour une PME ?
9. Plan d’action NIS2 PME, la checklist en six étapes
10. Aller plus loin avec NIS2 en 2026
11. FAQ

Ce que change la directive NIS2 (UE 2022/2555)

La directive NIS2, référencée UE 2022/2555, succède à la première directive NIS (souvent appelée NIS1). Son objectif est de relever le niveau de cybersécurité dans l’ensemble de l’Union européenne en harmonisant les exigences entre États membres.

Là où NIS1 visait un nombre restreint d’opérateurs, NIS2 étend son périmètre d’application à 18 secteurs d’activité, selon les informations publiées par l’ANSSI sur la plateforme MonEspaceNIS2. Des milliers d’organisations sont potentiellement concernées, des administrations aux grands groupes, en passant par des PME.

Le changement est aussi culturel. La directive ne se contente pas d’exiger des outils techniques, elle impose une démarche structurée de gestion des risques cyber, une capacité à déclarer rapidement les incidents, une attention portée aux fournisseurs et une implication directe de la direction.

Pour une PME, cela signifie passer d’une sécurité souvent gérée au cas par cas à une sécurité pilotée, documentée et vérifiable.

Directive NIS2, l’impact sur les PME selon leur taille et leur secteur

Le seuil NIS2 de 50 salariés ou 10 millions d’euros

Pour savoir si votre PME est concernée par NIS2, deux critères se combinent : la taille et le secteur. Selon la définition européenne de la PME, une entreprise compte moins de 250 salariés et réalise au maximum 50 millions d’euros de chiffre d’affaires annuel ou présente un bilan inférieur à 43 millions d’euros.

Dans le cadre de NIS2, le seuil d’entrée le plus souvent retenu correspond à une entreprise d’au moins 50 salariés ou 10 millions d’euros de chiffre d’affaires, à condition qu’elle exerce dans un secteur couvert. Ces critères sont rappelés par l’ANSSI dans ses ressources d’aide sur le périmètre des entités.

Autrement dit, une entreprise moyenne qui opère dans l’un des secteurs listés entre très probablement dans le champ de la directive. Une grande entreprise du même secteur y entre également, souvent avec un niveau d’exigence plus élevé.

NIS2 et les PME de moins de 50 salariés

Une entreprise de moins de 50 salariés et de moins de 10 millions d’euros de chiffre d’affaires est en règle générale hors champ. La directive prévoit néanmoins des exceptions lorsque l’activité ou la position de l’entreprise dans une chaîne de services est jugée critique.

Peuvent ainsi être concernés, quelle que soit leur taille, les fournisseurs de réseaux ou de services de communications électroniques, certains fournisseurs de services numériques, les prestataires considérés comme essentiels pour un secteur critique, les fournisseurs uniques d’un service essentiel et certaines entités désignées par les autorités nationales. Une petite structure ne doit donc pas conclure trop vite qu’elle échappe au dispositif.

Les secteurs d’activité critiques visés

Les secteurs couverts par NIS2 sont nombreux. Voici les principaux, tels que présentés par l’ANSSI :

• les communications électroniques et les infrastructures numériques
• les fournisseurs de services numériques, les services cloud et les centres de données
• l’énergie, les transports et la santé
• l’eau potable et les eaux usées
• la banque et les infrastructures des marchés financiers
• la fabrication de produits critiques, les services postaux et la gestion des déchets
• la recherche

Cette liste n’est pas exhaustive et chaque secteur se décline en sous-secteurs. C’est précisément ce niveau de détail qui détermine si votre activité réelle entre dans le champ.

Entité essentielle ou entité importante, quelle différence ?

NIS2 classe les organisations concernées en deux catégories. L’entité essentielle correspond en général aux organisations les plus grandes ou les plus critiques pour le fonctionnement de la société et de l’économie. L’entité importante regroupe les autres organisations du périmètre, souvent des entreprises moyennes ou des activités jugées moins critiques.

Les mesures de sécurité à mettre en œuvre sont comparables pour les deux catégories. La différence porte surtout sur l’intensité de la supervision : les entités essentielles font l’objet d’un contrôle plus soutenu et plus anticipé, tandis que les entités importantes sont plutôt contrôlées a posteriori, par exemple après un incident ou un signalement.

Pour une PME, la catégorie la plus fréquente est celle d’entité importante. Cela ne réduit pas le niveau d’exigence sur le fond, mais modifie la manière dont l’autorité peut vérifier la conformité.

Vérifier votre situation avec MonEspaceNIS2 et l’enregistrement auprès de l’ANSSI

Pourquoi utiliser MonEspaceNIS2 ?

En France, l’ANSSI met à disposition la plateforme MonEspaceNIS2. Elle permet de déterminer, à partir de questions simples sur votre secteur, votre effectif et votre chiffre d’affaires, si votre organisation entre dans le périmètre.

Point essentiel souligné par l’ANSSI : les entités doivent s’identifier elles-mêmes auprès de l’autorité compétente. Vous ne recevrez pas de notification individuelle vous invitant à vous conformer.

L’enregistrement NIS2 auprès de l’ANSSI s’effectue après cette évaluation du périmètre. L’entreprise fournit alors son identité et ses coordonnées, son secteur et sous-secteur d’activité, les États membres dans lesquels elle fournit ses services et sa catégorie d’entité, importante ou essentielle.

Concernant le calendrier, la directive a été adoptée au niveau européen puis transposée dans le droit de chaque État membre, avec une montée en charge progressive des obligations. Les échéances applicables en France sont publiées et mises à jour par l’ANSSI, il est donc conseillé de les consulter régulièrement.

Important

Pour une entité importante ou essentielle, les mesures de sécurité s’appliquent à l’ensemble du système d’information, et pas seulement aux outils liés à l’activité réglementée. Si vos serveurs ou votre réseau sont partagés entre plusieurs activités, le périmètre de conformité sera donc plus large que prévu.

Les obligations NIS2 pour les PME : ce que prévoient les articles 20 et 21

Gouvernance et mesures minimales pour les PME

L’article 20 place la gouvernance et la responsabilité de la direction au cœur du dispositif. Les organes de direction doivent approuver les mesures de gestion des risques cyber et superviser leur mise en œuvre.

Concrètement, le dirigeant valide les priorités de sécurité, alloue un budget adapté, suit les risques et les incidents, participe à la gestion de crise, s’assure de la sensibilisation et de la formation des collaborateurs et vérifie la sécurité des principaux fournisseurs. La cybersécurité cesse d’être un sujet confié uniquement au technicien.

L’article 21 décrit les mesures minimales attendues, proportionnées aux risques. On y trouve l’analyse de risques, la gestion des incidents, la continuité d’activité avec les sauvegardes et le plan de reprise d’activité, la gestion de crise, la sécurité de la chaîne d’approvisionnement et des sous-traitants, la sécurité du développement et de la maintenance des systèmes, la gestion des vulnérabilités, l’authentification et le contrôle des accès, la cryptographie, la sécurité des ressources humaines, l’hygiène informatique et l’évaluation régulière de l’efficacité des mesures.

Traduit en langage courant, cela revient à savoir ce que vous possédez (la cartographie des actifs), à identifier ce qui pourrait mal tourner, à protéger les accès avec l’authentification multifacteur, c’est-à-dire un second code en plus du mot de passe, à conserver une sauvegarde hors ligne ou immuable que personne ne peut modifier ni chiffrer, à séparer les zones de votre réseau (la segmentation réseau) pour limiter la propagation d’une attaque, et à garder une trace des événements grâce à la journalisation et à la détection des incidents.

Notification incident NIS2 en 24h, 72h et un mois

L’article 23 crée une obligation opérationnelle majeure : déclarer les incidents importants à l’autorité compétente selon un calendrier précis. Le tableau ci-dessous résume les trois étapes prévues, telles que décrites par les sources spécialisées.

Respecter ces délais suppose une capacité minimale de détection, de qualification, d’escalade et de documentation. Une procédure claire doit préciser qui détecte l’incident, qui le qualifie, qui alerte la direction, qui contacte l’ANSSI, quels éléments conserver et comment informer clients et fournisseurs.

Sans supervision ni journalisation, il devient très difficile de savoir ce qui s’est passé, et donc de déclarer correctement dans les temps.

NIS2, sous-traitants et fournisseurs : un impact indirect bien réel

Une PME hors du périmètre direct peut tout de même ressentir fortement les effets de NIS2 si elle travaille pour une entité régulée. Ses clients doivent en effet garantir la sécurité de leur chaîne d’approvisionnement, et ils répercutent logiquement une partie de ces exigences sur leurs prestataires.

Vous pouvez ainsi recevoir un questionnaire de sécurité fournisseur, des demandes de preuves de sauvegarde et de restauration, des procédures de gestion des incidents, des engagements contractuels de notification, des audits ou tests de sécurité, voire des exigences sur l’hébergement de vos données.

La conformité devient alors un critère commercial. Une PME capable de répondre sereinement à ces demandes, preuves documentaires de conformité à l’appui, rassure ses donneurs d’ordre et se démarque lors des renouvellements de contrats.

NIS2 dans le secteur informatique et télécoms, cloud et centres de données

Le secteur informatique et télécoms est particulièrement exposé. Il réunit plusieurs catégories d’activités potentiellement couvertes : fournisseurs de réseaux et de services de communications électroniques, services cloud, centres de données, fournisseurs de services numériques, services de gestion informatique, services de cybersécurité et prestataires techniques critiques. La Commission européenne rappelle que NIS2 vise notamment ces infrastructures numériques, avec des obligations de gestion des risques et de notification.

Une PME de ce secteur doit donc examiner la nature exacte de ses services, le caractère essentiel de ses infrastructures, son rôle dans la chaîne de fourniture, la criticité de ses clients et les pays où elle opère. Pour vous, client final, c’est aussi une bonne nouvelle : vos prestataires informatiques et télécoms sont eux-mêmes poussés à élever leur niveau de sécurité.

Bon à savoir

Certaines exigences de NIS2, comme l’analyse de risques, la gestion des incidents ou la continuité d’activité, ne peuvent pas être vérifiées depuis l’extérieur. Une étude technique consacrée à la sécurité des PME souligne qu’elles reposent sur une analyse interne et des preuves documentaires.

Combien coûte la mise en conformité NIS2 pour une PME ?

Les principaux postes de coût NIS2 pour une PME

Il n’existe pas de prix unique. Le coût de la mise en conformité NIS2 dépend de votre point de départ, de la taille de votre système d’information et de votre secteur.

Les postes de dépense les plus fréquents sont l’audit initial, la cartographie des actifs et des fournisseurs, le déploiement de sauvegardes sécurisées, l’authentification multifacteur, la supervision des journaux et des alertes, la protection des postes et serveurs, la segmentation du réseau, les tests d’intrusion, la formation du personnel, la rédaction des procédures et la préparation à la gestion de crise.

La principale difficulté reste souvent le manque de ressources internes. Plutôt que de tout déployer en même temps, il est plus efficace de prioriser les risques critiques.

Beaucoup de PME s’appuient sur un prestataire en infogérance, capable d’assurer la supervision et la maintenance proactive au quotidien. Chez Groupe ISISCOM Online Ing., nous accompagnons des PME et TPE, notamment dans les Hautes-Alpes, en expliquant chaque étape simplement et en construisant un plan adapté à leur réalité plutôt qu’un catalogue de solutions.

Plan d’action NIS2 PME, la checklist en six étapes

Checklist NIS2 en six étapes pour les PME

Pour avancer de façon méthodique, voici une checklist conformité NIS2 que vous pouvez suivre :

• vérifier le périmètre : secteur, sous-secteur, effectif, chiffre d’affaires, exceptions, puis simulation sur MonEspaceNIS2
• cartographier les actifs : applications, serveurs, postes, équipements réseau, services cloud, données sensibles et fournisseurs stratégiques
• réaliser une analyse d’écart entre vos pratiques et les exigences sur les risques, les accès, les sauvegardes, la continuité, les fournisseurs et la gouvernance
• traiter les priorités : authentification multifacteur, sauvegarde hors ligne ou immuable, correction des vulnérabilités, protection des comptes administrateurs, journalisation, segmentation et sensibilisation
• documenter et tester : politiques de sécurité, registres d’incidents, tests de restauration, comptes rendus de formation, évaluations fournisseurs et décisions de la direction
• préparer la notification d’incident avec une procédure claire et des rôles définis

Cette démarche progressive permet de montrer, à l’autorité comme à vos clients, que la sécurité est pilotée et améliorée dans le temps.

Aller plus loin avec NIS2 en 2026

L’impact de NIS2 sur une PME dépend de son secteur, de sa taille, de la criticité de ses services et de sa place dans la chaîne d’approvisionnement. Une entreprise directement concernée doit s’enregistrer auprès de l’ANSSI, structurer sa gouvernance, renforcer ses protections et se préparer à déclarer les incidents.

Une entreprise hors champ a tout intérêt à anticiper les exigences de ses clients régulés, car la sécurité devient un critère de choix des fournisseurs. Dans les deux cas, commencer par un état des lieux honnête reste la meilleure façon d’avancer sereinement en 2026.

En résumé : directive NIS2 et impact PME

En synthèse, la directive NIS2 impose aux PME directement concernées de structurer leur gouvernance cyber, de renforcer leurs mesures de protection et de se préparer à déclarer rapidement les incidents, tandis que les prestataires et fournisseurs ressentent un impact indirect mais réel à travers les exigences de leurs clients.

Aborder la directive NIS2 et son impact sur les PME comme un projet progressif, fondé sur un état des lieux honnête et des priorités claires, permet de transformer cette contrainte réglementaire en opportunité d’améliorer durablement la résilience de votre système d’information.

FAQ

NIS2 remplace-t-elle le RGPD ?

Non. Le RGPD protège les données personnelles, alors que NIS2 vise la sécurité et la résilience des systèmes d’information. Les deux textes se complètent et de nombreuses mesures, comme le contrôle des accès ou la sauvegarde, servent à la fois l’un et l’autre.

Qui doit piloter le projet NIS2 dans une PME ?

La directive engage la responsabilité de la direction, qui doit approuver les mesures et en superviser l’application. Le dirigeant peut s’appuyer sur un référent interne ou un prestataire, mais il ne peut pas déléguer entièrement la décision.

La formation des dirigeants est-elle concernée ?

Oui. Les organes de direction doivent eux aussi disposer de connaissances suffisantes pour évaluer les risques cyber. Une sensibilisation régulière des collaborateurs complète ce dispositif, car l’erreur humaine reste un point d’entrée fréquent des attaques.

Une certification est-elle obligatoire pour être conforme ?

NIS2 n’impose pas de certification unique à toutes les entreprises. En revanche, vous devez être en mesure de prouver vos mesures, et certains clients peuvent exiger une attestation ou une certification dans leurs contrats.

Que faire si votre situation reste ambiguë après MonEspaceNIS2 ?

Consultez les ressources d’aide de l’ANSSI, qui détaillent les cas particuliers par secteur. En cas de doute, appliquer les mesures de base reste utile, car elles réduisent le risque réel et préparent aux demandes de vos partenaires.